Собеседник знает имя руководителя, правильно называет проект и объясняет, зачем ему нужен документ, поэтому разговор выглядит продолжением работы. Но прежде чем отправлять сведения, всё равно придётся установить, кто их запрашивает и имеет ли он право их получить.
Претекстинг использует как раз такую подмену. Человеку предлагают вымышленную роль и обстоятельства, под которые просьба выглядит естественной. Посмотрим, как устроена легенда и где её проверять.
За кого выдают себя и чего хотят
Легенда связывает роль собеседника с поводом обращения и просьбой. Например, человек представляется сотрудником поддержки, ссылается на ошибку входа и предлагает подтвердить запрос в приложении, чтобы якобы завершить восстановление.
Trend Micro описывает претекстинг как использование подготовленного сценария и ложной личности для получения сведений или нужных действий. Такая легенда может развиваться в письме, по телефону и при личном разговоре.
Для убедительности не всегда нужна сложная история. «Уточняем договор» или «закрываем заявку» уже похожи на обычную работу. Хорошо подобранный контекст позволяет пропустить вопрос о полномочиях.
Даже настоящая проблема не делает собеседника настоящим специалистом. Сбой может существовать, а человек, предложивший его устранить, просто оказался рядом вовремя.
Откуда берутся правильные подробности
Имя сотрудника можно увидеть в программе конференции. Название подрядчика на сайте. Сведения о договоре в ранее полученной переписке. Иногда данные действительно внутренние, но к моменту разговора уже известны постороннему.
Поэтому проверочный вопрос из тех же сведений мало помогает. Если атакующий знает фамилию начальника, ответ на вопрос о фамилии ничего не добавит. Он ещё раз подтвердит своё знание.
С захваченным аккаунтом сложнее. Сообщение придёт с настоящего адреса и окажется в знакомой цепочке. Человек может продолжать доверять переписке, хотя новое требование уже отправляет другой участник.
При существенной операции нужно подтвердить именно её. Право менять реквизиты, получать файл или сбрасывать доступ нельзя вывести из знакомого оформления письма.
Поддержка просит код
Представим, что сотруднику звонит «технический специалист», называет рабочий сервис и просит продиктовать одноразовый код для исправления ошибки. Сам сотрудник заявку не создавал и вход не начинал, поэтому происхождение обращения ещё предстоит проверить.
Код может подтверждать чужой вход, хотя собеседник объясняет его передачу необходимостью ремонта. Чтобы проверить запрос, сотруднику следует самостоятельно открыть сервис и обратиться в известную поддержку.
Название программы и технические термины не заменяют проверку. Если специалист настоящий, обращение должно находиться в установленном компанией процессе помощи.
Поставщик меняет счёт
Второй учебный сюжет начинается в знакомой переписке. Поставщик якобы меняет банк и просит провести ближайший платёж по новым реквизитам. Номер договора правильный, причина выглядит понятной, срок оплаты реальный.
Здесь можно долго искать подделку подписи и пропустить саму операцию. Смена счёта требует отдельного подтверждения по контакту, известному до письма. Даже полностью настоящая прошлая переписка не подтверждает новое распоряжение.
Полезно, чтобы это правило выполнялось без личной оценки убедительности автора. Иначе самый занятой день окажется хорошим временем для подмены.
Руководитель торопит и запрещает звонить
Третий пример удобно представить в мессенджере. Аккаунт с фотографией начальника просит немедленно отправить документ или деньги. Заодно объясняет, почему нельзя звонить и обсуждать поручение с коллегами.
Запрет на проверку становится частью давления. При этом фото и имя не устанавливают владельца аккаунта. Даже привычный стиль переписки не даёт уверенности в конкретном поручении.
Проверять его следует через известный рабочий канал. Спорить с неизвестным собеседником о том, достаточно ли он похож на руководителя, необязательно.
Как претекстинг соединяется с другими методами
| Элемент | Что описывает | Пример |
|---|---|---|
| Фишинг | Обманное сообщение и продолжение | Письмо с ложной страницей |
| Претекстинг | Роль и обстоятельства | «Мы восстанавливаем Ваш доступ» |
| Кви про кво | Условие обмена | «Поможем после передачи кода» |
| Обратная социальная инженерия | Обращение к подготовленному помощнику | Пользователь сам находит ложную поддержку |
В одной ситуации могут работать все четыре элемента. Поэтому претекстинг нельзя свести к отдельному виду письма. Легенда объясняет просьбу независимо от того, где её произнесли.
Иногда ссылки вообще нет. Новые реквизиты, требование отправить сведения или разрешить проход передают обычным текстом. Проверка одного адреса такую операцию не остановит.
Проверка полномочий
| Что запрашивают | Что требуется подтвердить | Где начать проверку |
|---|---|---|
| Восстановление аккаунта | Личность владельца и основание изменения | Действующая процедура поддержки |
| Новые реквизиты | Подлинность изменения и согласование | Известный контакт поставщика |
| Удалённую сессию | Заявку, специалиста и задачу | Корпоративная поддержка |
| Рабочий документ | Права получателя и канал передачи | Владелец данных |
| Доступ посетителя | Приглашение и допустимую зону | Принимающая сторона и регистрация |
Для отказа не требуется раскрыть личность мошенника. Достаточно того, что нужное подтверждение не получено. Это заметно упрощает задачу сотрудника, которому предлагают принять решение прямо сейчас.
Срочные операции тоже бывают настоящими. Для них нужен ускоренный порядок согласования, а не полная отмена проверок. Его стоит определить до первого звонка со словами «руководитель уже разрешил».
Как разбирать легенды с сотрудниками
На занятии попросите участников убрать из сообщения имена и логотипы, а затем объяснить, почему оставшееся требование можно выполнить. Они должны найти подтверждение прав получателя и указать, где оно сохранится после операции.
Если ответ держится только на внешней убедительности, значит, проверка пока не сработала. Дальше можно показать действующий маршрут через поддержку, финансы или владельца данных.
Для компании полезно заранее обозначить эти маршруты и сделать их доступными. Лекция про осторожность вряд ли поможет человеку, который не знает, кому позвонить.
Общие меры собраны в памятке по защите. Сравнение с обратной социальной инженерией и кви про кво поможет отдельно разобрать происхождение помощника и условие услуги.